Qué es el phishing cripto y por qué puede causar pérdidas irreversibles
El phishing es una técnica de suplantación de identidad. El delincuente se hace pasar por una empresa o institución legítima para conseguir información privada, provocar un pago o infectar el dispositivo de la víctima. Puede llegar por correo electrónico, SMS, redes sociales, anuncios, llamadas o páginas web que imitan casi al milímetro a la original.
En criptomonedas, el objetivo no siempre es robar una contraseña. También puede ser conseguir el código de autenticación de un exchange, la clave privada, la frase semilla de una wallet o una firma que autorice a un contrato malicioso a mover determinados activos. La frase de recuperación funciona como una llave maestra: quien la conoce puede controlar las cuentas derivadas de ella.
Esto explica por qué el phishing cripto puede resultar especialmente dañino. Una entidad puede bloquear una cuenta centralizada si detecta el fraude a tiempo, pero una wallet de autocustodia no tiene un departamento capaz de anular una transferencia confirmada o devolver los fondos. Además, que una plataforma esté autorizada o sea conocida no impide que un tercero suplante su identidad. La CNMV mantiene advertencias específicas sobre dominios, llamadas y comunicaciones que imitan a organismos y entidades registradas.
Las trampas más habituales ya no parecen correos mal escritos
Una de las variantes más comunes utiliza una página o aplicación falsa. El dominio puede cambiar una letra, incorporar palabras adicionales o aparecer como anuncio patrocinado en un buscador. La web muestra el logotipo correcto, reproduce la interfaz de la wallet y termina solicitando la frase de recuperación para solucionar un supuesto error. Ledger advierte de que ninguna actualización, verificación o incidencia legítima exige introducir esas palabras en una página web.
Otra táctica consiste en suplantar al soporte técnico. El mensaje asegura que la wallet será bloqueada, que se ha detectado un acceso extranjero o que hace falta completar una revisión KYC urgente. El estafador puede incluso abrir un ticket utilizando el correo de la víctima para que esta reciba una confirmación automática real antes de la llamada fraudulenta. La urgencia y la aparente precisión del aviso forman parte de la manipulación.
El ataque también puede esconderse detrás de una conexión Web3, un airdrop o una firma aparentemente inocua. En el llamado phishing de firmas, el usuario no entrega directamente su frase semilla: autoriza un permiso que permite a una aplicación mover tokens o NFT. MetaMask explica que algunas firmas pueden conservar su validez durante semanas, por lo que el robo no siempre ocurre inmediatamente después de interactuar con la web maliciosa.
Cómo detectar el engaño antes de iniciar sesión o firmar
La primera defensa es no entrar a un exchange o una wallet desde un enlace recibido por mensaje, un anuncio o una respuesta en redes sociales. Conviene escribir la dirección manualmente, utilizar un marcador previamente comprobado o acceder desde la aplicación oficial. Hay que revisar el dominio completo, no solo el logotipo, el candado del navegador o las primeras palabras de la URL. Los atacantes utilizan direcciones muy parecidas y aplicaciones falsas con una apariencia convincente.
La segunda regla es más sencilla: ningún soporte legítimo necesita conocer la frase semilla. Debe mantenerse fuera de correos, nubes, formularios, capturas de pantalla y chats. En las cuentas de exchanges también es razonable activar la autenticación de dos factores, preferiblemente mediante una aplicación o una llave resistente al phishing. El 2FA añade una barrera frente al robo de contraseñas, pero no protege una wallet si el usuario revela su frase o firma voluntariamente un permiso malicioso.
Antes de confirmar una operación, hay que comprobar qué wallet está conectada, qué dominio solicita la firma, qué activo puede mover y si el permiso tiene límite. Para ampliar estas medidas, Finantres dispone de una guía de seguridad en criptomonedas, una explicación sobre qué es el 2FA y cómo protege una cuenta y una guía sobre DeFi y los riesgos de firmar permisos a contratos.
Qué hacer si ya has pulsado, firmado o compartido información
Pulsar un enlace no significa automáticamente que los fondos hayan sido robados. Conviene cerrar la página, no descargar archivos, analizar el dispositivo y acceder al servicio desde su canal oficial. Si se introdujeron las credenciales de un exchange, hay que cambiar la contraseña desde un equipo fiable, cerrar sesiones, revisar dispositivos autorizados y contactar con el soporte oficial para bloquear temporalmente la cuenta si existe esa opción.
Si se compartió una frase semilla o una clave privada, debe considerarse que la wallet está comprometida. MetaMask recomienda crear una wallet nueva en un navegador, perfil o dispositivo limpio, guardar una nueva frase de recuperación y trasladar los fondos que todavía permanezcan disponibles. La frase comprometida no debe volver a utilizarse. Las operaciones ya confirmadas en blockchain, por regla general, no pueden revertirse desde la wallet.
Cuando el problema sea una firma o una aprobación maliciosa, puede existir margen para revocar el permiso antes de que se muevan los activos, aunque hacerlo genera una nueva transacción y no garantiza recuperar lo que ya haya salido. También conviene conservar correos, capturas, dominios, direcciones, hashes y horas de las operaciones. En España, INCIBE permite reportar páginas fraudulentas y aportar evidencias para analizar y mitigar el incidente.
El phishing cripto no necesita romper la seguridad de Bitcoin, Ethereum o una wallet física. Ataca el punto más accesible: la decisión del usuario. La clave no está en desconfiar de todo, sino en no entregar una frase, iniciar sesión o firmar una operación antes de verificar quién la solicita y qué permiso concede.
